先把宝塔的防篡改开起来，然后查下wp-content/uploads里有没有php文件，多半是从这进去的